PostgreSQL的用户、角色和权限管理

万达换票券

Pg权限分为两部分，一部分是“系统权限”或者数据库用户的属性，可以授予role或user（两者区别在于login权限）；一部分为数据库对象上的操作权限。对超级用户不做权限检查，其它走acl。对于数据库对象，开始只有所有者和超级用户可以做任何操作，其它走acl。在pg里，对acl模型做了简化，组和角色都是role，用户和角色的区别是角色没有login权限。
 
可以用下面的命令创建和删除角色，

CREATE ROLE name;

DROP ROLE name;

为了方便，也可以在 shell 命令上直接调用程序 createuser 和 dropuser，这些工具对相应命令提供了封装:

createuser name

dropuser name

 
 
数据库对象上的权限有：SELECT，INSERT， UPDATE，DELETE，RULE， REFERENCES，TRIGGER，CREATE， TEMPORARY，EXECUTE，和 USAGE等，具体见下面定义
 

typedefuint32AclMode;         /* a bitmask of privilege bits */

 

#define ACL_INSERT      (1<<0)  /* for relations */

#define ACL_SELECT      (1<<1)

#define ACL_UPDATE      (1<<2)

#define ACL_DELETE      (1<<3)

#define ACL_TRUNCATE    (1<<4)

#define ACL_REFERENCES  (1<<5)

#define ACL_TRIGGER     (1<<6)

#define ACL_EXECUTE     (1<<7)  /* for functions */

#define ACL_USAGE       (1<<8)  /* for languages, namespaces, FDWs, and

                                 * servers */

#define ACL_CREATE      (1<<9)  /* for namespaces and databases */

#define ACL_CREATE_TEMP (1<<10) /* for databases */

#define ACL_CONNECT     (1<<11) /* for databases */

#define N_ACL_RIGHTS    12      /* 1 plus the last 1<<x */

#define ACL_NO_RIGHTS   0

/* Currently, SELECT ... FOR UPDATE/FOR SHARE requires UPDATE privileges */

#define ACL_SELECT_FOR_UPDATE   ACL_UPDATE

 

我们可以用特殊的名字 PUBLIC 把对象的权限赋予系统中的所有角色。 在权限声明的位置上写 ALL，表示把适用于该对象的所有权限都赋予目标角色。

beigang=#  grant all on schema csm_ca to public;

GRANT

beigang=# revoke all on schema csm_ca from public;
REVOKE
beigang=#
 
每种对象的all权限定义如下：

/*

 * Bitmasks defining "all rights" for each supported object type

 */

#define ACL_ALL_RIGHTS_COLUMN       (ACL_INSERT|ACL_SELECT|ACL_UPDATE|ACL_REFERENCES)

#define ACL_ALL_RIGHTS_RELATION    (ACL_INSERT|ACL_SELECT|ACL_UPDATE|ACL_DELETE|ACL_TRUNCATE|ACL_REFERENCES|ACL_TRIGGER)

#define ACL_ALL_RIGHTS_SEQUENCE     (ACL_USAGE|ACL_SELECT|ACL_UPDATE)

#define ACL_ALL_RIGHTS_DATABASE     (ACL_CREATE|ACL_CREATE_TEMP|ACL_CONNECT)

#define ACL_ALL_RIGHTS_FDW          (ACL_USAGE)

#define ACL_ALL_RIGHTS_FOREIGN_SERVER (ACL_USAGE)

#define ACL_ALL_RIGHTS_FUNCTION     (ACL_EXECUTE)

#define ACL_ALL_RIGHTS_LANGUAGE     (ACL_USAGE)

#define ACL_ALL_RIGHTS_LARGEOBJECT  (ACL_SELECT|ACL_UPDATE)

#define ACL_ALL_RIGHTS_NAMESPACE    (ACL_USAGE|ACL_CREATE)

#define ACL_ALL_RIGHTS_TABLESPACE   (ACL_CREATE)

 

 
用户的属性可参见下图：

视图 pg_roles提供访问数据库角色有关信息的接口。 它只是一个 pg_authid 表的公开可读部分的视图，把口令字段用空白填充了。

Table 42-39.pg_roles字段

名字	类型	引用	描述
rolname	name		角色名
rolsuper	bool		有超级用户权限的角色
rolcreaterole	bool		可以创建更多角色的角色
rolcreatedb	bool		可以创建数据库的角色
rolcatupdate	bool		可以直接更新系统表的角色。（除非这个字段为真，否则超级用户也不能干这个事情。）
rolcanlogin	bool		可以登录的角色，也就是说，这个角色可以给予初始化会话认证的标识符。
rolpassword	text		不是口令（总是 ********）
rolvaliduntil	timestamptz		口令失效日期（只用于口令认证）；如果没有失效期，为 NULL
rolconfig	text[]		运行时配置变量的会话缺省

 
 
 
下面实验验证
先创建一个角色xxx，再创建一个超级用户csm、普通用户csm_ca，csm用户创建一个数据库testdb，在这个数据库里创建一个schema：csm_ca，然后赋予普通用户csm_ca操作数据库testdb里schema：csm_ca里的表的权限。
1
Create role：
 
testdb=# create role xxx with superuser;
CREATE ROLE
 
2
Create user：
 
testdb=# create user csm with superuser password 'csm';
CREATE ROLE
testdb=# create user csm_ca with password 'csm_ca';
CREATE ROLE
testdb=#
 
3
验证
 
 
testdb=# \du
角色列表
-[ RECORD 1 ]--------------------------------------
角色名称 | csm
属性     | 超级用户
成员属于 | {}
-[ RECORD 2 ]--------------------------------------
角色名称 | csm_ca
属性     |
成员属于 | {}
-[ RECORD 3 ]--------------------------------------
角色名称 | postgres
属性     | 超级用户, 建立角色, 建立 DB, Replication
成员属于 | {}
-[ RECORD 4 ]--------------------------------------
角色名称 | xxx
属性     | 超级用户, 无法登录
成员属于 | {}
 
 
testdb=# SELECT * FROM pg_roles;
-[ RECORD 1 ]---------+---------
rolname               | postgres
rolsuper              | t
rolinherit            | t
rolcreaterole         | t
rolcreatedb           | t
rolcreatedblink       | t
rolcreatepublicdblink | t
roldroppublicdblink   | t
rolcatupdate          | t
rolcanlogin           | t
rolreplication        | t
rolconnlimit          | -1
rolpassword           | ********
rolvaliduntil         |
rolconfig             |
oid                   | 10
-[ RECORD 2 ]---------+---------
rolname               | csm
rolsuper              | t
rolinherit            | t
rolcreaterole         | f
rolcreatedb           | f
rolcreatedblink       | f
rolcreatepublicdblink | f
roldroppublicdblink   | f
rolcatupdate          | t
rolcanlogin           | t
rolreplication        | f
rolconnlimit          | -1
rolpassword           | ********
rolvaliduntil         |
rolconfig             |
oid                   | 24598
-[ RECORD 3 ]---------+---------
rolname               | csm_ca
rolsuper              | f
rolinherit            | t
rolcreaterole         | f
rolcreatedb           | f
rolcreatedblink       | f
rolcreatepublicdblink | f
roldroppublicdblink   | f
rolcatupdate          | f
rolcanlogin           | t
rolreplication        | f
rolconnlimit          | -1
rolpassword           | ********
rolvaliduntil         |
rolconfig             |
oid                   | 24599
-[ RECORD 4 ]---------+---------
rolname               | xxx
rolsuper              | t
rolinherit            | t
rolcreaterole         | f
rolcreatedb           | f
rolcreatedblink       | f
rolcreatepublicdblink | f
roldroppublicdblink   | f
rolcatupdate          | t
rolcanlogin           | f
rolreplication        | f
rolconnlimit          | -1
rolpassword           | ********
rolvaliduntil         |
rolconfig             |
oid                   | 24600


 

postgres=# \c beigang
You are now connected to database "beigang" as user "csm".
5
Csm用户在beigang里创建schema: csm_ca
beigang=#
beigang=#
beigang=# create schema csm_ca;
CREATE SCHEMA
beigang=#

 
6
验证模式csm_ca和用户csm_ca
beigang=# \dn
   架构模式列表
  名称  |  拥有者
--------+----------
 csm_ca | csm
 dbo    | postgres
 public | postgres
 sys    | postgres
(4 行记录)
 
 
beigang=# \du
                            角色列表
 角色名称 |                   属性                   | 成员属于
----------+------------------------------------------+----------
 csm      | 超级用户                                 | {}
 csm_ca   |                                          | {}
 postgres | 超级用户, 建立角色, 建立 DB, Replication | {}
 xxx      | 超级用户, 无法登录                       | {}
 
 
beigang=#
 
7
超级用户csm给普通用户csm_ca授予操作schema csm_ca的权限
 
beigang=#  grant all on schema csm_ca to csm_ca;
GRANT
beigang=# grant all on all tables in schema csm_ca to csm_ca;
GRANT
beigang=#
 
8
pg中组就是role，操作见以下
beigang=# grant xxx to csm_ca;
GRANT ROLE
beigang=# revoke xxx from csm_ca;
REVOKE ROLE
beigang=#
 
参考：
Pg documentation
src/include/nodes/parsenodes.h
src/include/utils/acl.h
 
 ----------------
转载请著明出处，来自以下博客或mail至beigaang@gmail.com联系：
blog.csdn.net/beiigang
beigang.iyunv.com